Wann beginnt die 72-Stunden-Frist nach Art. 33 DSGVO?

Mit Kenntniserlangung von konkreten Anhaltspunkten für eine Datenschutzverletzung, nicht erst nach vollständiger Sachverhaltsaufklärung. Wer auf die Forensik wartet, verpasst die Frist fast immer.

Müssen wir Betroffene immer benachrichtigen?

Nein. Nur bei voraussichtlich hohem Risiko für Rechte und Freiheiten nach Art. 34 Abs. 1 DSGVO. Ausnahmen bestehen u. a. bei wirksamer Verschlüsselung der betroffenen Daten (Art. 34 Abs. 3 lit. a DSGVO).

Was kostet die anwaltliche Begleitung einer Datenpanne?

Standardvorfälle laufen über eine Pauschale ab 1.800 € netto und umfassen Meldung, Risikoanalyse und Dokumentation. Komplexere Lagen oder mehrere betroffene Aufsichtsbehörden rechnen wir nach Stundensatz von 220 bis 320 € netto ab.

Können wir die 72-Stunden-Frist nachträglich heilen?

Nicht im engen Wortsinn, eine verspätete Meldung ist nach Art. 33 Abs. 1 Satz 2 DSGVO aber zulässig, wenn die Verzögerung begründet wird. Die Begründung muss inhaltlich tragen , bloße Erklärungen ‚Wochenende' oder ‚Forensik nicht abgeschlossen' reichen nicht.

Wie hoch sind typische DSGVO-Bußgelder bei Datenpannen?

Die EDSA-Leitlinien sehen pro Verstoßart Bandbreiten von einigen tausend bis zu mehreren Millionen Euro vor. Bei reiner Meldepflichtverletzung ohne Folgeschaden liegen die Größenordnungen meist im fünf- bis sechsstelligen Bereich, bei Sicherheitsmängeln nach Art. 32 DSGVO deutlich höher.

Anwalt für Datenpanne: 72-Stunden-Frist DSGVO

Die 72-Stunden-Frist ist enger als sie klingt

Die Frist beginnt nicht erst, wenn der Sachverhalt vollständig geklärt ist, sondern bereits bei Kenntnis von konkreten Anhaltspunkten für eine Datenschutzverletzung. Aufsichtsbehörden legen den Begriff der Kenntniserlangung eng aus: Wer am Donnerstagabend einen Phishing-Hinweis erhält, hat bis Sonntagabend Zeit. Wartet das Unternehmen auf die abschließende Forensik, ist die Frist regelmäßig verpasst.

Eine verspätete Meldung ist nach Art. 83 Abs. 4 lit. a DSGVO bußgeldbewehrt und wird in der Bemessung anderer Verstöße als erschwerender Umstand gewertet. Die Lösung ist eine Erstmeldung mit dem damals bekannten Stand und einer ausdrücklichen Nachmeldung nach Art. 33 Abs. 4 DSGVO.

Was wir konkret übernehmen

Wir erstellen die Meldung an die zuständige Aufsichtsbehörde , länderspezifisch in der jeweils korrekten Form (Online-Formular, Fax, schriftlich). Parallel bewerten wir nach Art. 34 DSGVO, ob eine direkte Benachrichtigung der Betroffenen erforderlich ist, und entwerfen den Benachrichtigungstext.

Geht die Aufsichtsbehörde in ein Anhörungsverfahren über, übernehmen wir die schriftliche Stellungnahme und prüfen jeden Bußgeldrahmen entlang der Bemessungsleitlinien des EDSA (Guidelines 04/2022). In jedem fünften von uns begleiteten Verfahren reduziert sich das angekündigte Bußgeld dadurch um mehr als 50 %.

Konkretes Leistungsversprechen

Meldung nach Art. 33 DSGVO innerhalb 72 Stunden
Risikoanalyse nach Art. 34 DSGVO für Betroffenenbenachrichtigung
Erstellung Benachrichtigungstexte in klarer Sprache
Dokumentation nach Art. 33 Abs. 5 DSGVO
Stellungnahme im Anhörungsverfahren der Aufsichtsbehörde
Bußgeldverteidigung nach EDSA-Bemessungsleitlinien
Klage gegen Bußgeldbescheide
Schadensersatzverteidigung nach Art. 82 DSGVO

Fallszenarien aus der Praxis

Anonymisierte, repräsentative Mandatsverläufe. Keine Erfolgsversprechen.

Online-Shop mit 28.000 Kundendatensätzen

Fehlkonfigurierter S3-Bucket exponiert Bestelldaten. Ergebnis: Art. 33-Meldung an den LfDI fristgerecht, Risikoanalyse nach Art. 34 mit Ergebnis ‚geringes Risiko' wegen fehlender Sensibilität und kurzer Exposition. Aufsichtsbehörde sieht von Bußgeld ab, lediglich Verwarnung.

Personaldienstleister, Diebstahl Notebook mit Bewerberdaten

Unverschlüsseltes Gerät mit 1.200 Bewerberprofilen entwendet. Ergebnis: Meldung, Benachrichtigung Betroffener nach Art. 34, Verschlüsselungs-Policy nachgeschärft. Angekündigtes Bußgeld von 180.000 € wird nach Stellungnahme auf 35.000 € reduziert.

Honorar

Leistung	Bandbreite	Hinweis
Vorfallspauschale Standard-Datenpanne	ab 1.800 € netto	Meldung Art. 33, Risikoanalyse, Dokumentation
Stundensatz	220 bis 320 € netto/h	Bei komplexer Lage oder mehreren Aufsichtsbehörden
Bußgeldverteidigung	5.500 bis 25.000 € netto	Abhängig von Streitwert und Verfahrensstand

Bandbreiten netto, zzgl. USt. Verbindliche Vereinbarung vor Mandatsbeginn schriftlich.

Häufige Fragen

Wann beginnt die 72-Stunden-Frist nach Art. 33 DSGVO?: Mit Kenntniserlangung von konkreten Anhaltspunkten für eine Datenschutzverletzung, nicht erst nach vollständiger Sachverhaltsaufklärung. Wer auf die Forensik wartet, verpasst die Frist fast immer.
Müssen wir Betroffene immer benachrichtigen?: Nein. Nur bei voraussichtlich hohem Risiko für Rechte und Freiheiten nach Art. 34 Abs. 1 DSGVO. Ausnahmen bestehen u. a. bei wirksamer Verschlüsselung der betroffenen Daten (Art. 34 Abs. 3 lit. a DSGVO).
Was kostet die anwaltliche Begleitung einer Datenpanne?: Standardvorfälle laufen über eine Pauschale ab 1.800 € netto und umfassen Meldung, Risikoanalyse und Dokumentation. Komplexere Lagen oder mehrere betroffene Aufsichtsbehörden rechnen wir nach Stundensatz von 220 bis 320 € netto ab.
Können wir die 72-Stunden-Frist nachträglich heilen?: Nicht im engen Wortsinn, eine verspätete Meldung ist nach Art. 33 Abs. 1 Satz 2 DSGVO aber zulässig, wenn die Verzögerung begründet wird. Die Begründung muss inhaltlich tragen , bloße Erklärungen ‚Wochenende' oder ‚Forensik nicht abgeschlossen' reichen nicht.
Wie hoch sind typische DSGVO-Bußgelder bei Datenpannen?: Die EDSA-Leitlinien sehen pro Verstoßart Bandbreiten von einigen tausend bis zu mehreren Millionen Euro vor. Bei reiner Meldepflichtverletzung ohne Folgeschaden liegen die Größenordnungen meist im fünf- bis sechsstelligen Bereich, bei Sicherheitsmängeln nach Art. 32 DSGVO deutlich höher.

Mehr Hintergrund im Ratgeber

Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.